obfs4, Snowflake of WebTunnel: een Tor-bridge kiezen in 2026
Als een censor de bekende Tor-toegangspunten blokkeert, is het praktische antwoord een bridge: een relay die buiten de openbare Tor-directory wordt gehouden, gecombineerd met een pluggable transport dat verandert hoe de verbinding er op de draad uitziet. Drie transporten dragen in 2026 het merendeel van die last: obfs4, Snowflake en WebTunnel. Ze lossen hetzelfde probleem op — een Tor-verbinding laten lijken op toegestaan verkeer — maar verschillen sterk in hoe je ze krijgt, hoe ze zich verbergen en hoe snel ze zijn. Een verkeerde keuze betekent zelden direct falen; meestal betekent het dat een bridge die gisteren werkte, volgende week stopt.
Wat bridges gemeen hebben
De handleiding van de Tor Browser beschrijft bridges als relays die buiten de openbare Tor-directory vallen, zodat een censor ze niet kan opsommen zoals gewone relays; het pluggable transport vóór de relay verzorgt de vermomming. Alle drie de hoofdtypen volgen dat patroon, en alle drie zijn te selecteren of aan te vragen in de verbindingsinstellingen van de Tor Browser, zoals de handleiding in de sectie censuur omzeilen naast de ingebouwde opties beschrijft. De andere gedeelde eigenschap is minder geruststellend: een bridge is een IP-adres als elk ander, en als een censor het kent, kan hij het blokkeren als elk ander. Beschikbaarheid is geen immuniteit. Daarom krijgt distributie eigen techniek — rdsys, Tors herschreven versie van BridgeDB, bestaat om te beslissen welke bridge-regels bij welke gebruikers terechtkomen.obfs4, de beproefde standaard
obfs4 verpakt Tor-verkeer in bytes die er willekeurig uitzien en geen stabiele handtekening hebben, en heeft van de drie de langste diensttijd. De gemeenschapsdocumentatie van Tor vat de afweging in één regel samen bij het vergelijken van transporten: obfs4 is snel en beproefd, maar moeilijk te verspreiden. De willekeur biedt weerstand tegen protocolfingerprinting, maar het adres van de bridge blijft blootgesteld aan scans, en hoe langer een regel circuleert, hoe groter de kans dat een censor hem al heeft gecatalogiseerd. Daarom gaat de klacht over obfs4 zelden over snelheid; de klacht is dat veelgebruikte, langlevende bridges stoppen met werken. Voor een stapsgewijze uitleg van hoe obfs4 zijn verbindingen opbouwt, zie onze eerdere uitleg.Snowflake, in elkaar gezet uit vrijwilligers
Snowflake volgt een andere route om te overleven. Het toegangspunt is een proxy gerund door een vrijwilliger, en het verkeer is gekleed als WebRTC, de protocolfamilie achter video- en spraakgesprekken in de browser. De site van het project beschrijft hoe verkeer loopt via proxy's die door vrijwilligers in ongecensorde landen worden beheerd — een vermomming die ingrijpen voor een censor duur maakt, want blokkeren betekent de verkeerspatronen van alledaagse videogesprekken blokkeren. De installatie is de eenvoudigste van de drie: Snowflake zit in de Tor Browser als kiesbaar transport, en het project werft capaciteit via een browseradd-on. De prijs is prestatie. Vrijwillige proxy's verschillen in bandbreedte en komen en gaan, en de gemeenschapsdocumentatie van Tor bestempelt Snowflake als de langzaamste optie van het trio. Reken op hogere en minder voorspelbare latentie dan bij een dedicated bridge; de kwaliteit van een sessie hangt af van welke vrijwilliger haar op dat moment draagt.WebTunnel, Tor verkleed als HTTPS
WebTunnel is de jongste van de drie; de referentie-implementatie op Tors GitLab dateert van augustus 2022. Hij is gebaseerd op HTTPT, een tunnelprotocol gebouwd op HTTP, en de gemeenschapsdocumentatie beschrijft de intentie ronduit: Tor-verkeer verbergen als HTTPS-webbrowsing. Tegen deep packet inspection zet dat de censor voor de moeilijkst denkbare keuze, want WebTunnel filteren betekent gewoon HTTPS aantasten, het ene protocol dat de meeste netwerken niet kunnen missen. De kosten liggen bij de beheerder: een WebTunnel-bridge draaien vraagt om een Linux-server met root-toegang, een domeinnaam, DNS-records, een geldig TLS-certificaat en een reverse proxy zoals NGINX, Caddy of Apache, met Docker als alternatief. Dezelfde documentatie waarschuwt dat bridges achter een eigen domein geld kosten en een single point of failure kunnen worden. Voor de gebruiker maakt dit allemaal niets uit — een WebTunnel-bridge komt aan als een regel om in het bridge-veld te plakken.Realistische verwachtingen
- obfs4: het snelst en langst beproefd. Haal nieuwe regels via het aanvraagproces van de Tor Browser en reken erop dat populaire na verloop van tijd worden geblokkeerd.
- Snowflake: eenvoudigste installatie en een vermomming die meereist op het verkeer van videogesprekken, ten koste van langzamer en wisselender snelheid.
- WebTunnel: het sterkste antwoord op protocolfingerprinting, afhankelijk van beheerders die domeinen en certificaten willen onderhouden.